Protection des données

Information, sécurité, sous-traitance et violations de données : ce que la nLPD exige d’une PME suisse.

La loi suisse sur la protection des données s'applique-t-elle à mon entreprise ?
Oui, si votre entreprise traite des données personnelles concernant des personnes physiques en Suisse comme personne privée, la loi sur la protection des données (LPD) régit ce traitement. Des exceptions existent notamment pour l’usage exclusivement personnel, certaines activités parlementaires, certains bénéficiaires institutionnels jouissant de l’immunité de juridiction, ainsi que pour des procédures et registres soumis à des règles spéciales.
Lire la réponse sourcée
Qu'est-ce qu'une donnée personnelle selon la loi suisse ?
Selon la loi sur la protection des données (LPD), une donnée personnelle est toute information concernant une personne physique identifiée ou identifiable. La loi rattache cette notion au traitement de telles informations et distingue aussi certaines catégories de données personnelles sensibles.
Lire la réponse sourcée
Faut-il toujours le consentement de la personne pour traiter ses données en Suisse ?
Non. Selon la Loi fédérale sur la protection des données (LPD), une atteinte à la personnalité est illicite à moins d’être justifiée par le consentement de la personne concernée, par un intérêt privé ou public prépondérant, ou par la loi. La LPD mentionne aussi plusieurs cas où un intérêt prépondérant du responsable du traitement entre notamment en considération.
Lire la réponse sourcée
Un client peut-il exiger que ses données personnelles soient rectifiées ou effacées ?
Oui. La personne concernée peut exiger la rectification de données personnelles inexactes. Elle peut aussi requérir l’effacement ou la destruction de données personnelles dans le cadre des actions concernant la protection de la personnalité. Si l’exactitude ne peut pas être établie, elle peut demander qu’une mention du caractère litigieux soit ajoutée.
Lire la réponse sourcée
Que doit contenir le registre des activités de traitement ?
La loi sur la protection des données (LPD) prévoit que les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. Le registre du responsable du traitement contient au moins les indications énumérées par la LPD; celui du sous-traitant contient ses propres indications, y compris certaines mentions relatives à la sécurité des données et à la communication à l’étranger.
Lire la réponse sourcée
Une déclaration de protection des données est-elle obligatoire pour une entreprise en Suisse ?
En pratique, une entreprise qui collecte des données personnelles doit informer la personne concernée de manière adéquate. La loi sur la protection des données (LPD) impose, lors de la collecte, la communication d’informations déterminées qui assurent la transparence du traitement et permettent l’exercice des droits.
Lire la réponse sourcée
Quelle amende risque-t-on si l'on n'informe pas correctement sur le traitement des données ?
La loi prévoit, sur plainte, une amende de 250 000 francs au plus pour les personnes privées qui omettent intentionnellement d’informer la personne concernée conformément aux règles visées, ou qui lui fournissent intentionnellement des renseignements inexacts ou incomplets dans ce cadre.
Lire la réponse sourcée
Quelle amende en cas de sécurité insuffisante, de sous-traitance ou de transfert à l'étranger illicites ?
La loi prévoit, sur plainte, une amende de 250 000 francs au plus pour les personnes privées qui agissent intentionnellement en cas de transfert de données personnelles à l’étranger illicite, de sous-traitance sans conditions remplies, ou de non-respect des exigences minimales de sécurité des données édictées par le Conseil fédéral.
Lire la réponse sourcée
Un employeur peut-il installer des caméras de surveillance sur le lieu de travail ?
Oui, des caméras peuvent être installées si elles sont nécessaires pour d’autres raisons que la surveillance du comportement des travailleurs à leur poste de travail. Les systèmes destinés à surveiller ce comportement sont interdits et, lorsqu’un système est nécessaire pour d’autres raisons, il doit être conçu et disposé de façon à ne pas porter atteinte à la santé et à la liberté de mouvement des travailleurs.
Lire la réponse sourcée
Quelles mesures le Préposé fédéral (PFPDT) peut-il ordonner en cas de violation de la protection des données ?
Selon la loi fédérale sur la protection des données (LPD), le Préposé fédéral à la protection des données et à la transparence (PFPDT) peut ordonner la modification, la suspension ou la cessation de tout ou partie du traitement, ainsi que l’effacement ou la destruction de tout ou partie des données personnelles. Il peut aussi suspendre ou interdire certaines communications de données à l’étranger et imposer diverses mesures correctives ou d’information.
Lire la réponse sourcée
Dans quels cas une entreprise est-elle dispensée d'informer sur la collecte de données ?
Selon la Loi fédérale sur la protection des données (LPD), le responsable du traitement est délié du devoir d’information si la personne concernée possède déjà les informations, si le traitement est prévu par la loi, si une personne privée est tenue au secret par la loi, ou si les conditions de l’art. 27 sont remplies. Lorsque les données ne sont pas collectées auprès de la personne concernée, l’information ne s’applique pas non plus si elle est impossible à donner ou exige des efforts disproportionnés.
Lire la réponse sourcée
Quand le consentement à un traitement de données doit-il être exprès ?
Le consentement doit être exprès dans trois cas prévus par la loi: pour le traitement de données sensibles, pour un profilage à risque élevé effectué par une personne privée, et pour un profilage effectué par un organe fédéral. Lorsqu’un consentement est requis, il n’est valable que s’il est donné librement, pour un ou plusieurs traitements déterminés, et après une information suffisante.
Lire la réponse sourcée
Quand une entreprise doit-elle établir un règlement de traitement des données ?
Le responsable du traitement privé et son sous-traitant privé établissent un règlement pour les traitements automatisés lorsqu’il y a traitement de données sensibles à grande échelle ou profilage à risque élevé. Le règlement contient notamment des informations sur l’organisation interne, les procédures de traitement et de contrôle des données, ainsi que les mesures visant à garantir la sécurité des données, et il est actualisé régulièrement.
Lire la réponse sourcée
Un traitement de données lancé avant la nLPD doit-il être adapté aux nouvelles règles ?
Pas pour tout. La loi prévoit que les art. 7, 22 et 23 ne sont pas applicables aux traitements qui ont débuté avant l’entrée en vigueur de la présente loi, pour autant que les finalités du traitement restent inchangées et que de nouvelles données ne soient pas collectées.
Lire la réponse sourcée
Peut-on transférer des données vers un pays sans protection adéquate avec l'accord de la personne ?
Oui. En dérogation à l’art. 16, al. 1 et 2, des données personnelles peuvent être communiquées à l’étranger lorsque la personne concernée a expressément donné son consentement. La loi prévoit aussi d’autres cas de dérogation distincts.
Lire la réponse sourcée
Qui doit annoncer une fuite de données survenue chez un sous-traitant ?
Le sous-traitant annonce dans les meilleurs délais au responsable du traitement tout cas de violation de la sécurité des données. Le responsable du traitement annonce dans les meilleurs délais au Préposé fédéral à la protection des données et à la transparence les cas entraînant vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée. Il informe aussi la personne concernée lorsque cela est nécessaire à sa protection ou lorsque le Préposé fédéral à la protection des données et à la transparence l’exige.
Lire la réponse sourcée
À quelles conditions peut-on confier des données personnelles à un sous-traitant ?
Le traitement de données personnelles peut être confié à un sous-traitant pour autant qu’un contrat ou la loi le prévoie, que seuls soient effectués les traitements que le responsable du traitement serait en droit d’effectuer lui-même, et qu’aucune obligation légale ou contractuelle de garder le secret ne l’interdise. Le responsable du traitement doit en particulier s’assurer que le sous-traitant est en mesure de garantir la sécurité des données.
Lire la réponse sourcée
Quels moyens l'entreprise doit-elle donner à son conseiller à la protection des données ?
Le responsable du traitement met les ressources nécessaires à la disposition du conseiller à la protection des données, lui donne accès aux renseignements, documents, registres des activités de traitement et données personnelles dont il a besoin pour accomplir ses tâches, et lui donne le droit d’informer l’organe supérieur de direction ou d’administration dans les cas importants.
Lire la réponse sourcée
Que doit contenir une analyse d'impact relative à la protection des données ?
L’analyse d’impact doit contenir une description du traitement envisagé, une évaluation des risques pour la personnalité ou les droits fondamentaux de la personne concernée, ainsi que les mesures prévues pour protéger sa personnalité et ses droits fondamentaux. Elle est requise au préalable lorsque le traitement envisagé est susceptible d’entraîner un risque élevé.
Lire la réponse sourcée
Combien de temps une entreprise peut-elle conserver des données personnelles ?
Une entreprise ne peut pas conserver des données personnelles pendant une durée librement fixée. Selon la LPD, elles doivent être détruites ou anonymisées dès qu’elles ne sont plus nécessaires au regard des finalités du traitement. La durée dépend donc de l’objectif poursuivi et doit rester proportionnée.
Lire la réponse sourcée
À quelles conditions peut-on transférer des données personnelles à l'étranger ?
Des données personnelles peuvent être communiquées à l’étranger si le Conseil fédéral a constaté que l’État concerné, ou un organisme international, assure un niveau de protection adéquat. À défaut, le transfert reste possible si un niveau de protection approprié est garanti par l’un des instruments prévus par la loi, notamment un traité international, certaines clauses contractuelles, des garanties spécifiques, des clauses type ou des règles d’entreprise contraignantes, selon les conditions indiquées.
Lire la réponse sourcée
Quand une analyse d'impact relative à la protection des données est-elle obligatoire ?
Elle est obligatoire avant le traitement envisagé lorsqu’il est susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée. Ce risque s’apprécie selon la nature, l’étendue, les circonstances et la finalité du traitement, notamment en cas de traitement de données sensibles à grande échelle ou de surveillance systématique de grandes parties du domaine public.
Lire la réponse sourcée
Faut-il informer les personnes concernées en cas de fuite de données ?
Pas dans tous les cas. Le responsable du traitement doit informer la personne concernée lorsque cela est nécessaire à sa protection ou lorsque le PFPDT l’exige. La loi prévoit aussi des cas où cette information peut être restreinte, différée ou omise.
Lire la réponse sourcée
Un client peut-il exiger que ses données lui soient remises dans un format électronique ?
Oui, dans certains cas. La personne concernée peut demander la remise, sous un format électronique couramment utilisé, des données personnelles la concernant qu’elle a communiquées, si le traitement est automatisé et si ces données sont traitées avec son consentement ou en relation directe avec la conclusion ou l’exécution d’un contrat. La transmission à un autre responsable du traitement peut aussi être demandée sous conditions.
Lire la réponse sourcée
Quelles données personnelles sont considérées comme sensibles en Suisse ?
En Suisse, la LPD qualifie de données personnelles sensibles les données sur les opinions ou activités religieuses, philosophiques, politiques ou syndicales, celles sur la santé, la sphère intime ou l’origine raciale ou ethnique, ainsi que les données génétiques, certaines données biométriques, les données sur des poursuites ou sanctions pénales et administratives, et celles sur des mesures d’aide sociale.
Lire la réponse sourcée
Les données concernant des entreprises clientes sont-elles protégées par la nLPD ?
En principe non, pas en tant que telles. Selon l’art. 1 LPD, la loi vise à protéger la personnalité et les droits fondamentaux des personnes physiques dont les données personnelles font l’objet d’un traitement. Il faut donc vérifier si les informations concernent une personne physique identifiable, et non seulement une entreprise.
Lire la réponse sourcée
Qu'est-ce qu'une violation de la sécurité des données au sens de la nLPD ?
Au sens de la nLPD, une violation de la sécurité des données est toute atteinte à la sécurité qui entraîne, de manière accidentelle ou illicite, la perte de données personnelles, leur modification, leur effacement ou leur destruction, ainsi que leur divulgation ou un accès non autorisés. Cette notion vise donc des incidents touchant des données personnelles dans le cadre de leur traitement.
Lire la réponse sourcée
Quelle est la différence entre responsable du traitement et sous-traitant ?
Le responsable du traitement est la personne privée ou l’organe fédéral qui détermine, seul ou conjointement avec d’autres, les finalités et les moyens du traitement de données personnelles. Le sous-traitant traite ces données pour le compte du responsable du traitement. La différence centrale tient donc au pouvoir de décision sur le but et les moyens du traitement.
Lire la réponse sourcée
Quels principes une entreprise doit-elle respecter pour traiter des données personnelles ?
Une entreprise doit traiter les données personnelles de manière licite, selon la bonne foi et la proportionnalité, pour des finalités déterminées et reconnaissables, puis les détruire ou les anonymiser lorsqu’elles ne sont plus nécessaires. Elle doit aussi veiller à l’exactitude des données et, lorsque le consentement est requis, obtenir un consentement libre, informé et parfois exprès.
Lire la réponse sourcée
Que signifie la protection des données dès la conception et par défaut ?
Cela signifie que le responsable du traitement doit intégrer, dès la conception du traitement, des mesures techniques et organisationnelles permettant de respecter les prescriptions de protection des données, notamment les principes de l’art. 6. Par défaut, des préréglages appropriés doivent limiter le traitement des données personnelles au minimum requis par la finalité poursuivie, sauf choix différent de la personne concernée.
Lire la réponse sourcée
Mon entreprise est-elle obligée de sécuriser les données personnelles qu'elle traite ?
Oui. Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. Les mesures doivent permettre d’éviter toute violation de la sécurité des données.
Lire la réponse sourcée
Quelles mesures techniques et organisationnelles faut-il prendre pour protéger les données ?
Il faut prendre des mesures appropriées couvrant au moins trois objectifs: la confidentialité, la disponibilité et l’intégrité, ainsi que la traçabilité. Cela implique notamment de limiter les accès aux données, aux locaux et aux systèmes, de protéger les supports, la mémoire et les communications, de pouvoir restaurer rapidement les données, de maintenir les systèmes à jour en matière de sécurité et de vérifier qui saisit, modifie ou reçoit les données personnelles.
Lire la réponse sourcée
Une entreprise de moins de 250 employés doit-elle tenir un registre des activités de traitement ?
En principe non. Les entreprises et autres organismes de droit privé employant moins de 250 collaborateurs au 1er janvier d’une année sont déliés de l’obligation de tenir un registre des activités de traitement. Cette exception ne s’applique plus si le traitement porte sur des données sensibles à grande échelle ou s’il constitue un profilage à risque élevé.
Lire la réponse sourcée
Que doit contenir une déclaration de protection des données ?
Elle doit informer de manière adéquate sur la collecte des données personnelles et contenir au moins l’identité et les coordonnées du responsable du traitement, la finalité du traitement et, le cas échéant, les destinataires ou catégories de destinataires. Selon les cas, elle doit aussi préciser les catégories de données traitées, ainsi que les informations relatives à une communication à l’étranger.
Lire la réponse sourcée
Dans quel délai informer une personne dont on a obtenu les données par un tiers ?
Lorsque les données personnelles ne sont pas collectées auprès de la personne concernée, les informations requises doivent être communiquées au plus tard un mois après l’obtention des données. Si ces données sont communiquées avant l’échéance de ce délai, l’information doit être donnée au plus tard lors de la communication.
Lire la réponse sourcée
Sous quelle forme faut-il présenter la déclaration de protection des données ?
Elle doit être présentée de manière concise, transparente, compréhensible et facilement accessible, afin que les personnes concernées reçoivent clairement les informations sur la collecte de données personnelles.
Lire la réponse sourcée
Faut-il informer une personne d'une décision prise automatiquement, sans intervention humaine ?
Oui, en principe. Le responsable du traitement doit informer la personne concernée de toute décision prise exclusivement sur la base d’un traitement automatisé de données personnelles lorsqu’elle produit des effets juridiques pour elle ou l’affecte de manière significative. Des exceptions existent toutefois, notamment dans certains cas liés à un contrat ou à un consentement exprès.
Lire la réponse sourcée
Quand faut-il consulter le PFPDT avant de lancer un traitement de données ?
Il faut consulter le PFPDT avant le traitement lorsque l’analyse d’impact relative à la protection des données montre que, malgré les mesures prévues, le traitement envisagé présente encore un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée. Un responsable du traitement privé peut y renoncer s’il a consulté son conseiller à la protection des données au sens de l’art. 10.
Lire la réponse sourcée
Quand faut-il annoncer une violation de la sécurité des données au PFPDT ?
Le responsable du traitement doit annoncer au PFPDT, dans les meilleurs délais, toute violation de la sécurité des données qui entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée. L’annonce doit au moins décrire la nature de la violation, ses conséquences et les mesures prises ou envisagées.
Lire la réponse sourcée
Quelles informations doit contenir l'annonce d'une violation de données au PFPDT ?
L’annonce doit indiquer la nature de la violation et, dans la mesure du possible, le moment et la durée, les catégories et le nombre approximatif de données et de personnes concernées, les conséquences et risques éventuels, les mesures prises ou prévues, ainsi que le nom et les coordonnées d’une personne de contact. Si tout ne peut pas être communiqué en même temps, les informations manquantes doivent suivre dans les meilleurs délais.
Lire la réponse sourcée
Quelles informations une entreprise doit-elle fournir en réponse à une demande d'accès ?
En principe, l’entreprise doit indiquer si elle traite des données personnelles concernant la personne et lui fournir les informations nécessaires pour garantir la transparence du traitement et l’exercice de ses droits. Cela comprend notamment l’identité et les coordonnées du responsable, les données traitées, la finalité, la durée de conservation ou ses critères, l’origine des données dans certains cas, ainsi que, le cas échéant, les décisions automatisées et les destinataires. Les renseignements sont en règle générale gratuits et fournis dans un délai de 30 jours.
Lire la réponse sourcée
Comment une personne doit-elle présenter une demande d'accès à ses données ?
En principe, la demande doit être faite par écrit au responsable du traitement. Elle peut aussi être présentée oralement si ce responsable l’accepte. La demande et la réponse peuvent en outre être effectuées par voie électronique, et la personne concernée doit coopérer pour permettre son identification.
Lire la réponse sourcée
Dans quels cas peut-on refuser ou limiter une demande d'accès aux données ?
Le responsable du traitement peut refuser, restreindre ou différer l’accès lorsqu’une loi au sens formel le prévoit, lorsque des intérêts prépondérants d’un tiers l’exigent, ou lorsque la demande est manifestement infondée. D’autres cas existent selon qu’il s’agit d’une personne privée ou d’un organe fédéral, avec des conditions précises à vérifier.
Lire la réponse sourcée
En cas d'infraction à la nLPD, qui est puni : l'entreprise ou la personne responsable ?
En principe, pour une infraction commise dans une entreprise, les règles du droit pénal administratif applicables aux personnes punissables s’appliquent. Toutefois, si l’amende entrant en ligne de compte ne dépasse pas 50 000 francs et qu’identifier ces personnes exigerait des mesures d’instruction hors de proportion, l’autorité peut renoncer à les poursuivre et condamner l’entreprise à leur place.
Lire la réponse sourcée

Votre question n’est pas dans la liste ?

Posez-la à l’agent : réponse sourcée, adossée aux mêmes textes officiels.

Essayez une question

Chaque réponse cite des sources officielles suisses, datées et ouvrables.

Compte gratuit pour obtenir une réponse adaptée à votre situation.

Consultation sans risque : l’agent répond et cite ses sources, sans jamais toucher à vos données.

Protection des données

La loi suisse sur la protection des données s'applique-t-elle à mon entreprise ?

Qu'est-ce qu'une donnée personnelle selon la loi suisse ?

Faut-il toujours le consentement de la personne pour traiter ses données en Suisse ?

Un client peut-il exiger que ses données personnelles soient rectifiées ou effacées ?

Que doit contenir le registre des activités de traitement ?

Une déclaration de protection des données est-elle obligatoire pour une entreprise en Suisse ?

Quelle amende risque-t-on si l'on n'informe pas correctement sur le traitement des données ?

Quelle amende en cas de sécurité insuffisante, de sous-traitance ou de transfert à l'étranger illicites ?

Un employeur peut-il installer des caméras de surveillance sur le lieu de travail ?

Quelles mesures le Préposé fédéral (PFPDT) peut-il ordonner en cas de violation de la protection des données ?

Dans quels cas une entreprise est-elle dispensée d'informer sur la collecte de données ?

Quand le consentement à un traitement de données doit-il être exprès ?

Quand une entreprise doit-elle établir un règlement de traitement des données ?

Un traitement de données lancé avant la nLPD doit-il être adapté aux nouvelles règles ?

Peut-on transférer des données vers un pays sans protection adéquate avec l'accord de la personne ?

Qui doit annoncer une fuite de données survenue chez un sous-traitant ?

À quelles conditions peut-on confier des données personnelles à un sous-traitant ?

Quels moyens l'entreprise doit-elle donner à son conseiller à la protection des données ?

Que doit contenir une analyse d'impact relative à la protection des données ?

Combien de temps une entreprise peut-elle conserver des données personnelles ?

À quelles conditions peut-on transférer des données personnelles à l'étranger ?

Quand une analyse d'impact relative à la protection des données est-elle obligatoire ?

Faut-il informer les personnes concernées en cas de fuite de données ?

Un client peut-il exiger que ses données lui soient remises dans un format électronique ?

Quelles données personnelles sont considérées comme sensibles en Suisse ?

Les données concernant des entreprises clientes sont-elles protégées par la nLPD ?

Qu'est-ce qu'une violation de la sécurité des données au sens de la nLPD ?

Quelle est la différence entre responsable du traitement et sous-traitant ?

Quels principes une entreprise doit-elle respecter pour traiter des données personnelles ?

Que signifie la protection des données dès la conception et par défaut ?

Mon entreprise est-elle obligée de sécuriser les données personnelles qu'elle traite ?

Quelles mesures techniques et organisationnelles faut-il prendre pour protéger les données ?

Une entreprise de moins de 250 employés doit-elle tenir un registre des activités de traitement ?

Que doit contenir une déclaration de protection des données ?

Dans quel délai informer une personne dont on a obtenu les données par un tiers ?

Sous quelle forme faut-il présenter la déclaration de protection des données ?

Faut-il informer une personne d'une décision prise automatiquement, sans intervention humaine ?

Quand faut-il consulter le PFPDT avant de lancer un traitement de données ?

Quand faut-il annoncer une violation de la sécurité des données au PFPDT ?

Quelles informations doit contenir l'annonce d'une violation de données au PFPDT ?

Quelles informations une entreprise doit-elle fournir en réponse à une demande d'accès ?

Comment une personne doit-elle présenter une demande d'accès à ses données ?

Dans quels cas peut-on refuser ou limiter une demande d'accès aux données ?

En cas d'infraction à la nLPD, qui est puni : l'entreprise ou la personne responsable ?

Votre question n’est pas dans la liste ?